Введение
В этом руководстве показано, как настроить функции безопасности для организации. Потребности в защите у вашей организации уникальны, и включать все функции безопасности может быть необязательно. Дополнительные сведения см. в разделе Функции безопасности GitHub.
Некоторые функции доступны для репозиториев во всех планах. Для предприятий, использующих GitHub Advanced Security, доступны дополнительные функции. Функции GitHub Advanced Security включены для всех общедоступных репозиториев на сайте GitHub.com. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.
Управление доступом в организации
Чтобы настраивать действия, доступные участникам организации, можно использовать роли. Например, вы можете назначить команде роль диспетчера безопасности, чтобы предоставить ей возможность управлять параметрами безопасности в организации, а также доступом на чтение ко всем репозиториям. Дополнительные сведения см. в разделе Роли в организации.
Создание политики безопасности по умолчанию
Вы можете создать политику безопасности по умолчанию, которая будет отображаться во всех общедоступных репозиториях вашей организации, у которых нет собственной политики безопасности. Дополнительные сведения см. в разделе Создание файла работоспособности сообщества по умолчанию..
Управление функцией «Dependabot alerts» и схемой зависимостей
GitHub обнаруживает уязвимости в общедоступных репозиториях и отображает схему зависимостей. Можно включить или отключить Dependabot alerts для всех общедоступных репозиториев, принадлежащих вашей организации. Можно включить или отключить Dependabot alerts для всех схем зависимостей для всех частных репозиториев, принадлежащих вашей организации.
- Щелкните фотографию профиля и выберите Организации.
- Щелкните Параметры рядом с названием вашей организации.
- Выберите Безопасность и анализ.
- Задайте параметр Включить все или Отключить все рядом с функцией, которую нужно настроить.
- При необходимости укажите Автоматически включать для новых репозиториев.
Дополнительные сведения см. в разделах Сведения об оповещениях Dependabot, Изучение зависимостей репозитория и Управление параметрами безопасности и анализа для организации.
Настройка проверки зависимостей
Проверка зависимостей — это функция Advanced Security, которая позволяет визуализировать изменения зависимостей в запросах на включение внесенных изменений до их объединения в репозитории. Дополнительные сведения см. в разделе Сведения о проверке зависимостей.
Проверка зависимостей по умолчанию включена для всех общедоступных репозиториев. Для частных и внутренних репозиториев, принадлежащих организации, включить проверку зависимостей можно, включив схему зависимостей и Advanced Security (см. ниже).
Управление функцией "Dependabot security updates"
Для любого репозитория, в котором используются Dependabot alerts, можно включить Dependabot security updates для создания запросов на включение внесенных изменений с обновлениями безопасности при обнаружении уязвимостей. Также можно включить или отключить Dependabot security updates для всех репозиториев в организации.
- Щелкните фотографию профиля и выберите Организации.
- Щелкните Параметры рядом с названием вашей организации.
- Выберите Безопасность и анализ.
- Выберите Включить все или Отключить все рядом с пунктом «Dependabot security updates».
- При необходимости укажите Автоматически включать для новых репозиториев.
Дополнительные сведения см. в разделах Сведения об обновлениях для системы безопасности Dependabot и Управление параметрами безопасности и анализа для организации.
Управление функцией "Dependabot version updates"
Можно включить Dependabot для автоматического создания запросов на включение внесенных изменений, чтобы поддерживать зависимости в актуальном состоянии. Дополнительные сведения см. в разделе Сведения об обновлениях версий Dependabot.
Чтобы включить Dependabot version updates, необходимо создать файл конфигурации dependabot.yml. Дополнительные сведения см. в разделе Настройка обновлений версий Dependabot.
Управление функцией «GitHub Advanced Security»
Если ваша организация принадлежит предприятию, которое имеет лицензию Advanced Security, функции Advanced Security можно включить или отключить.
- Щелкните фотографию профиля и выберите Организации.
- Щелкните Параметры рядом с названием вашей организации.
- Выберите Безопасность и анализ.
- Выберите Включить все или Отключить все рядом с пунктом GitHub Advanced Security.
- При необходимости укажите Автоматически включать для новых частных репозиториев.
Дополнительные сведения см. в разделах Сведения о GitHub Advanced Security и Управление параметрами безопасности и анализа для организации.
Настройка функции «secret scanning»
Secret scanning доступен для всех общедоступных репозиториев. Организации, использующие GitHub Enterprise Cloud с Advanced Security, могут дополнительно включить secret scanning для частных и внутренних репозиториев.
Вы можете включить или отключить secret scanning для всех общедоступных репозиториев в организации и для всех частных и внутренних репозиториев, в которых включен GitHub Advanced Security.
- Щелкните фотографию профиля и выберите Организации.
- Щелкните Параметры рядом с названием вашей организации.
- Щелкните Анализ & безопасности кода.
- Щелкните Включить все или Отключить все рядом с Secret scanning.
- В появившемся диалоговом окне при необходимости выберите Автоматически включить новые общедоступные репозитории и репозитории с включенным Advanced Security.
- Нажмите кнопку включить или отключить в диалоговом окне, чтобы подтвердить изменение.
Дополнительные сведения см. в разделе Управление параметрами безопасности и анализа для организации.
Настройка функции "code scanning"
Code scanning доступен для всех общедоступных репозиториев. Организации, использующие GitHub Enterprise Cloud с Advanced Security, могут дополнительно использовать code scanning для частных и внутренних репозиториев.
Вы можете включить или отключить настройку code scanning по умолчанию для всех соответствующих репозиториев., которые являются общедоступными и для всех частных и внутренних репозиториев в вашей организации, где включен GitHub Advanced Security. Сведения о подходящих репозиториях см. в разделе Configuring code scanning at scale using CodeQL.
Для репозиториев, которые не могут быть настроены по умолчанию, можно настроить расширенную настройку на уровне репозитория. Дополнительные сведения см. в разделе Настройка проверки кода для репозитория.
Примечание: Возможность включения и отключения настройки по умолчанию для code scanning для подходящих репозиториев в организации в настоящее время находится в бета-версии и может быть изменена. Если во время бета-версии вы отключите CodeQL code scanning для всех репозиториев, это изменение не будет отражено в сведениях о покрытии, отображаемых в обзоре безопасности для организации. В этом представлении для репозиториев по-прежнему будет включено code scanning.
- Щелкните фотографию профиля и выберите Организации.
- Щелкните Параметры рядом с названием вашей организации.
- Щелкните Анализ & безопасности кода.
- Щелкните Включить все или Отключить все рядом с Code scanning.
- В диалоговом окне "Включить code scanning для подходящих репозиториев" или "Отключить code scanning" щелкните Включить для подходящих репозиториев или Отключить code scanning , чтобы подтвердить изменение.
Дальнейшие действия
Вы можете просматривать оповещения функций безопасности и управлять ими для обработки зависимостей и уязвимостей в коде. Дополнительные сведения см. в разделе "Просмотр и обновление оповещений Dependabot" "Управление запросами на вытягивание для обновлений зависимостей", "Управление оповещениями проверки кода для репозитория" и "Управление оповещениями о проверке секретов".
Вы также можете отслеживать ответы на оповещения системы безопасности в организации. Дополнительные сведения см. в разделе Аудит оповещений системы безопасности.
При наличии уязвимости системы безопасности можно создать рекомендации по безопасности, которые позволят в частном порядке обсудить и устранить уязвимость. Дополнительные сведения см. в разделах Сведения о рекомендациях по безопасности репозитория и Создание рекомендаций по безопасности репозитория.
You, могут просматривать, фильтровать и сортировать оповещения безопасности для репозиториев, которые принадлежат вашей организации, на панели обзора безопасности. Дополнительные сведения см. в разделе "Сведения об Обзоре безопасности".
Дополнительные материалы
"Доступ к отчетам о соответствии требованиям для вашей организации"